Медицина — одна из самых восприимчивых к утечкам информации отраслей. Потеря конфиденциальной информации здесь приводит не только к психологическим проблемам и финансовым потерям, порой она также сопряжена с угрозами здоровью и жизни пациентов. Устаревшие системы, сложная партнерская экосистема, стрессы персонала и нехватка ИТ-специалистов — все это значительно увеличивает риски утечек данных в здравоохранении.
Отрасль медицины теряет несколько основных категорий конфиденциальной информации. Помимо данных о финансово-хозяйственной деятельности учреждений здравоохранения (т.н. «коммерческая тайна») и платежной информации (данные банковских карт), утекают персональные данные пациентов и специальная категория персональных данных — информация, составляющая врачебную тайну.
Источник: Экспертно-аналитический центр ГК InfoWatch
По данным Экспертно-аналитического центра InfoWatch (ЭАЦ), только за последние три года из медицинских учреждений в мире утекло около 900 млн записей персональных данных. Кроме того, немало информации о пациентах утекает из госорганов, страховых компаний, разработчиков ИТ и ряда других организаций, с которыми взаимодействуют учреждения здравоохранения. Так, в США в результате хакерской атаки из страховой группы UnitedHealth скомпрометированы данные 190 млн граждан.
Причины утечек данных в здравоохранении
- Фишинговые атаки, воздействие на сотрудников с использованием методов социальной инженерии по электронной почте и другим каналам.
- Компьютерные атаки на медучреждения с использованием вирусов-вымогателей: за атакой, как правило, следует требование о выкупе в обмен на гарантии нераспространения данных.
- Атаки на третьих лиц: взломы инфраструктуры поставщиков, производителей медицинского оборудования и других компаний, имеющим доступ к данным пациентов, но не поддерживающих адекватный уровень защиты информации.
- Эксплуатация уязвимостей в программном обеспечении: риски увеличиваются в ходе использования устаревшего ПО, несвоевременного обновления систем.
- Взлом мобильных устройств: многие сотрудники медучреждений используют смартфоны и планшеты для доступа к медицинским данным.
- Кража и потеря устройств хранения данных.
- Недостаточный контроль доступа к учетным записям. Особенно это касается привилегированных пользователей. Многие медицинские учреждения испытывают трудности с обеспечением контроля доступа на основе ролей из-за сложных рабочих процессов и необходимости быстрого доступа к информации о пациентах в экстренных случаях.
- Слабая сегментация сети: зачастую, взломав одну систему, злоумышленники могут довольно быстро получить доступ к другим системам. Необходимость сочетания систем управления медицинскими устройствами, система управления клиниками и электронных медицинских карт в техническом плане значительно усложняет задачу сегментации сети.
- Угрозы со стороны сотрудников: случайные и преднамеренные. Ряд сотрудников могут похищать информацию ради получения выгоды или из чувства мести. В то же время многие работники могут допускать непреднамеренные ошибки: отправка данных по некорректному адресу электронной почты, оставление данных в открытом доступе на облачном хранилище. Кроме того, по неосторожности и на фоне усталости, работники медучреждений становятся удобными мишенями для фишинговых атак.
Откуда утекают данные пациентов
- Медицинские учреждения.
- Госорганы (Минздрав, агентства здравоохранения и т.д.).
- Силовые структуры (полиция и др.).
- Страховые компании.
- Колл-центры.
- Разработчики ИТ.
- Производители медоборудования.
- Консалтинговые, маркетинговые и другие партнеры медучреждений.
- Почта и логистические компании.
Цифровизация здравоохранения во всем мире довольно быстро изменила структуру данных. Подавляющее большинство потоков информации в медучреждениях теперь формируется и хранится в электронном виде. В результате коренным образом изменилась и структура утечек данных.
Если в 2010-е годы существенная часть данных из сферы здравоохранения утекала на бумаге, то в 2020-е годы на первый план окончательно вышли цифровые каналы.
Источник: Экспертно-аналитический центр ГК InfoWatch
Последствия утечек конфиденциальной информации для медицинских учреждений
- Использование информации конкурентами.
- Отток клиентов.
- Снижение финансовых показателей.
- Штрафы регулирующих органов.
- Юридические риски: исковые заявления от групп клиентов.
- Репутационные потери на рынке медицинских услуг.
Последствия утечек персональных данных для пациентов
- Спам-звонки и письма.
- Фишинговые атаки.
- Тревожность.
- Ухудшение самочувствия.
Последствия утечек врачебной тайны для пациентов
- Общественное осуждение.
- Преследование.
- Шантаж.
- Угрозы.
- Обострение хронических заболеваний на фоне стрессов.
- Самоубийства.
Утечка данных из системы здравоохранения может иметь серьезные последствия на протяжении многих лет после инцидента. Большие затраты требуются на локализацию атаки, восстановление работоспособности систем, оплату услуг специалистам по расследованиям.
Очень серьезными в некоторых странах бывают санкции регуляторов. Например, в США медицинская организация может получить штраф в миллионы долларов за нарушение федерального закона HIPAA (Акт о мобильности и подотчетности медицинского страхования).
При этом размер регулятивных санкций могут превышать расходы в рамках урегулирования исков со стороны пациентов. Например, калифорнийская организация Kaiser Permanente в начале 2026 года согласилась выплатить 46 млн долларов США по иску о нарушении конфиденциальности данных 13 млн человек.
В отличие от утечек данных в других отраслях, утечки в здравоохранении могут напрямую угрожать безопасности пациентов, когда информация категории «врачебная тайна» попадает в руки посторонних лиц. Например, онкологическая клиника FredHutch Cancer Center в результате кибератаки с использованием вируса-вымогателя потеряла данные 2,1 млн пациентов. В частности, злоумышленники получили доступ к истории болезни, информации о психическом и физическом состоянии, а также к результатам диагностических исследований и планам лечения. Через некоторое время многие пациенты стали получать сообщения от хакеров: преступники угрожали опубликовать похищенные данные, если не получат выкуп. Кроме того, некоторых пациентов шантажировали угрозами осуществления сваттинга — ложных звонков о терактах от имени того или иного человека. А в Финляндии утечка информации привела к ряду самоубийств. Хакер похитил данные сети психотерапевтических центров Vastaamo и через некоторое время начал шантажировать пациентов, чьи сведения оказались в его руках. Информация тех, кто отказывался платить выкуп, была размещена в Дарквебе.
Сектор здравоохранения с точки зрения ИБ делают чрезвычайно уязвимыми несколько факторов
Во-первых, это высокая ликвидность персональных данных пациентов и их медицинской информации на черном рынке. Одна медицинская запись может продаваться в Дарквебе за сотни долларов, даже дороже, чем данные платежной карты. Кроме того, в США и в ряде других стран данные из медицинских карт могут использоваться для оформления мошеннических выплат по страховым полисам.
Во-вторых, многие медицинские учреждения весьма ограничены в инвестициях на ИТ и ИБ, поэтому используют устаревшее ПО и недостаточно устойчивые системы защиты информации. Обновление систем зачастую ограничено не только из-за финансовых трудностей, но и вследствие нормативных ограничений. Кроме того, некоторые системы трудно на время вывести из эксплуатации, так как они задействованы в процессе оказания врачебной помощи.
В-третьих, постоянной проблемой медицинских учреждений остаются человеческие ошибки. Высокий уровень стресса, в котором находятся медработники, не способствует культуре работы с конфиденциальной информацией. Люди могут передавать друг другу пароли, хранить их на бумажках в открытом доступе, оставлять компьютеры незаблокированными. Кроме того, сотрудники медучреждений часто выступают удобными объектами для организаторов фишинговых атак.
В-четвертых, организации системы здравоохранения, как правило, имеют большую поверхность для атак: электронные медицинские карты должны быть доступны в разных отделениях и центрах для оказания своевременной помощи пациентам, что открывает для злоумышленников множество потенциальных точек входа.
В-пятых, дополнительные угрозы информационной безопасности клиник может представлять партнерская инфраструктура, включая колл-центры, поставщиков биллинга и разработчиков ПО.
В-шестых, многие небольшие клиники и региональные медучреждения не имеют выделенных специалистов по информационной безопасности.
Все эти факторы в совокупности делают медицинские учреждения привлекательными целями для злоумышленников, что может приводить к серьезным последствиям в случае утечки данных.
Медицина — наука исцеления, которая всегда должна включать гуманитарную функцию, нести сострадание врача к пациенту. Точно так же внедрение информационных систем и средств их защиты в здравоохранении не может быть эффективным без душевного начала, понимания того, что автоматизация и информационная безопасность реализованы во имя человека и ради поддержки его здоровья.
Допустив утечку персональных данных пациентов, медицинское учреждение не должно оставаться безучастным к переживаниям людей. Необходимо успокоить пострадавших пациентов, объяснить им пути решения проблемы, предложить сервисы защиты персональных данных, ответить на вопросы.
Утечки данных в здравоохранении — это не просто технические инциденты, а случаи, когда доверие и конфиденциальность подвергаются испытанию. Только при условии, когда в жизненный цикл ИТ-систем заложен принцип эмпатии, организации сферы здравоохранения в цифровую эпоху могут поддерживать доверие общества в разных ситуациях.
